Konfigurieren von Microsoft 365 mit sicherer E-Mail

Einleitung

In diesem Dokument werden die Konfigurationsschritte zur Integration von Microsoft 365 in Cisco Secure Email für die ein- und ausgehende E-Mail-Zustellung beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Secure Email Gateway oder Cloud Gateway
• Zugriff über eine Kommandozeile auf Ihre Cisco Secure Email Cloud Gateway-Umgebung:
  Cisco Secure Email Cloud Gateway > Zugriff über Kommandozeile (CLI)
• Microsoft 365
• Simple Mail Transfer Protocol (SMTP)
• Domain Name Server oder Domain Name System (DNS)

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Dieses Dokument kann für lokale Gateways oder Cisco Cloud Gateways verwendet werden.

Wenn Sie Cisco Secure Email-Administrator sind, enthält Ihr Begrüßungsschreiben Ihre Cloud Gateway-IP-Adressen und andere relevante Informationen. Zusätzlich zu dem hier angezeigten Brief erhalten Sie eine verschlüsselte E-Mail, die Ihnen zusätzliche Informationen zur Anzahl der für Ihre Zuweisung bereitgestellten Cloud Gateways (auch bekannt als ESA) und Cloud E-Mail- und Web-Manager (auch bekannt als SMA) liefert. Wenn Sie den Brief noch nicht erhalten haben oder keine Kopie davon haben, wenden Sie sich mit Ihren Kontaktinformationen und Ihrem Domain-Namen unter Service an ces-activations@cisco.com.

     

     

Jeder Client verfügt über dedizierte IPs. Sie können die zugewiesenen IP-Adressen oder Hostnamen aus der Microsoft 365-Konfiguration verwenden.

Hinweis: Es wird dringend empfohlen, vor einer geplanten Umstellung der E-Mail-Produktion zu testen, da die Replikation von Konfigurationen in der Microsoft 365 Exchange-Konsole Zeit in Anspruch nimmt. Warten Sie mindestens eine Stunde, bis alle Änderungen wirksam werden.

Hinweis: Die IP-Adressen in der Screenshot-Erfassung stehen im Verhältnis zur Anzahl der Cloud Gateways, die für Ihre Zuweisung bereitgestellt werden. Dies xxx.yy.140.105  ist beispielsweise die IP-Adresse der Schnittstelle Data 1 für Gateway 1 und xxx.yy.150.1143  die IP-Adresse der Schnittstelle Data 1 für Gateway 2. Die IP-Adresse der Data 2-Schnittstelle für Gateway 1 lautet xxx.yy.143.186 und die IP-Adresse der Data 2-Schnittstelle für Gateway 2 xxx.yy.32.98. Wenn Ihr Begrüßungsschreiben keine Informationen zu Data 2 (ausgehende Schnittstellen-IPs) enthält, wenden Sie sich an Cisco TAC, um die Data 2-Schnittstelle zu Ihrer Zuweisung hinzuzufügen.

Konfigurieren von Microsoft 365 mit sicherer E-Mail

Konfigurieren von eingehenden E-Mails in Microsoft 365 über Cisco Secure Email

Umgehen der Spam-Filterregel

1. Melden Sie sich beim Microsoft 365 Admin Center an (https://portal.microsoft.com).
2. Erweitern Sie im Menü auf der linken Seite Admin Centers.
3. Klicken Sie auf Exchange.
4. Navigieren Sie im Menü links zu Mail flow > Rules.
5. Klicken Sie auf, [+] um eine neue Regel zu erstellen.
6. Wählen Sie Bypass spam filtering... eine Option aus der Dropdown-Liste aus.
7. Geben Sie einen Namen für die neue Regel ein: Bypass spam filtering - inbound email from Cisco CES.
8. Wählen Sie für *Diese Regel anwenden, wenn... The sender - IP address is in any of these ranges or exactly matches.
   1. Fügen Sie in dem Popup-Fenster zur Angabe des IP-Adressbereichs die IP-Adressen hinzu, die in Ihrem Cisco Secure Email-Begrüßungsschreiben angegeben sind.
   2. Klicken Sie auf OK.
9. Für *Do the following... wurde die neue Regel vorausgewählt: Set the spam confidence level (SCL) to... - Bypass spam filtering.
10. Klicken Sie auf Save.

Ein Beispiel für das Aussehen einer Regel:

Empfangs-Connector

1. Verbleiben Sie im Exchange-Verwaltungscenter.
2. Navigieren Sie im Menü links zu Mail flow > Connectors.
3. Klicken Sie auf, [+] um einen neuen Steckverbinder zu erstellen.
4. Wählen Sie im Popup-Fenster "Mail-Fluss auswählen" Folgendes aus:
   1. Von: Partner organization
   2. Zu: Office365
5. Klicken Sie auf Next.
6. Geben Sie einen Namen für den neuen Connector ein: Inbound from Cisco CES.
7. Geben Sie bei Bedarf eine Beschreibung ein.
8. Klicken Sie auf Next.
9. Klicken Sie auf Use the sender's IP address.
10. Klicken Sie auf Next.
11. Klicken Sie auf, [+] und geben Sie die IP-Adressen ein, die in Ihrem Begrüßungsschreiben für Cisco Secure Email angegeben sind.
12. Klicken Sie auf Next.
13. Auswählen Reject email messages if they aren't sent over Transport Layer Security (TLS).
14. Klicken Sie auf Next.
15. Klicken Sie auf Save.



Ein Beispiel, wie Ihre Steckverbinderkonfiguration aussieht:

Konfigurieren von E-Mails aus Cisco Secure Email für Microsoft 365

Zielsteuerelemente

Setze eine Selbstdrosselung in eine Zustellungsdomäne in den Zielsteuerelementen ein. Natürlich können Sie die Drosselung später entfernen, aber dies sind neue IPs zu Microsoft 365, und Sie wollen keine Drosselung durch Microsoft aufgrund seiner unbekannten Reputation.

1. Melden Sie sich bei Ihrem Gateway an.
2. Navigieren Sie zu Mail Policies > Destination Controls.
3. Klicken Sie auf  Add Destination.
4. Nutzung:
   1. Ziel: Geben Sie Ihren Domänennamen ein.
   2. Concurrent Connections (Gleichzeitige Verbindungen): 10
   3. Maximum Messages Per Connection (Maximale Anzahl an Nachrichten pro Verbindung): 20
   4. TLS Support (TLS-Unterstützung): Preferred
5. Klicken Sie auf Submit.
6. Klicken Sie rechts oben Commit Changes in der Benutzeroberfläche auf, um die Konfigurationsänderungen zu speichern.

Ein Beispiel für das Aussehen der Zielsteuerelementtabelle:

Recipient Access Table

Legen Sie als Nächstes die Recipient Access Table (RAT) fest, um E-Mails für Ihre Domänen zu akzeptieren:

1. Navigieren Sie zu Mail Policies > Recipient Access Table (RAT).

   Hinweis: Stellen Sie sicher, dass der Listener für den eingehenden Listener, die eingehendeMail oder den MailFlow verwendet wird, basierend auf dem tatsächlichen Namen des Listeners für den primären E-Mail-Fluss.

2. Klicken Sie auf Add Recipient.
3. Fügen Sie Ihre Domänen im Feld Empfängeradresse hinzu.
4. Wählen Sie die Standardaktion Accept.
5. Klicken Sie auf Submit.
6. Klicken Sie rechts oben Commit Changes in der Benutzeroberfläche auf, um Ihre Konfigurationsänderungen zu speichern.

Ein Beispiel für den RAT-Eintrag:

     

SMTP-Routen

Legen Sie die SMTP-Route für die Zustellung von E-Mails von Cisco Secure Email an Ihre Microsoft 365-Domäne fest:

1. Navigieren Sie zu Network > SMTP Routes.
2. Klicken Sie auf Add Route...
3. Domäne: Geben Sie Ihren Domänennamen ein.
4. Ziel-Hosts: fügen Sie Ihre ursprüngliche Microsoft 365 MX-Datensatz.
5. Klicken Sie auf Submit.
6. Klicken Sie rechts oben Commit Changes in der Benutzeroberfläche auf, um Ihre Konfigurationsänderungen zu speichern.

Ein Beispiel für die SMTP-Routeneinstellungen:

DNS-Konfiguration (MX-Eintrag)

Sie sind bereit, die Domäne durch eine Änderung der Mail Exchange (MX)-Datensätze zu entfernen. Lösen Sie Ihre MX-Datensätze zusammen mit Ihrem DNS-Administrator unter den IP-Adressen Ihrer Cisco Secure Email Cloud-Instanz auf, wie in Ihrem Begrüßungsschreiben zu Cisco Secure Email angegeben.

Überprüfen Sie auch die Änderung des MX-Datensatzes von der Microsoft 365-Konsole aus:

1. Melden Sie sich bei der Microsoft 365-Administratorkonsole an (https://admin.microsoft.com).
2. Navigieren Sie zu Home > Settings > Domains.
3. Wählen Sie Ihren Standard-Domänennamen aus.
4. Klicken Sie auf Check Health.

Hier finden Sie die aktuellen MX-Datensätze, die zeigen, wie Microsoft 365 Ihre DNS- und MX-Datensätze sucht, die mit Ihrer Domäne verknüpft sind:

Hinweis: In diesem Beispiel wird der DNS von Amazon Web Services (AWS) gehostet und verwaltet. Als Administrator sollten Sie eine Warnung erwarten, wenn Ihr DNS außerhalb des Microsoft 365-Kontos gehostet wird. Sie können Warnungen ignorieren wie: "Wir haben nicht erkannt, dass Sie neue Datensätze zu your_domain_here.com hinzugefügt haben. Vergewissern Sie sich, dass die von Ihnen auf Ihrem Host erstellten Datensätze mit den hier gezeigten übereinstimmen..."  Durch die schrittweisen Anweisungen werden die MX-Datensätze auf den ursprünglichen Wert zurückgesetzt, der für die Umleitung an Ihr Microsoft 365-Konto konfiguriert war. Das Cisco Secure Email Gateway wird aus dem eingehenden Datenverkehrsfluss entfernt.

Eingehende E-Mails testen

Testen Sie eingehende E-Mails an Ihre Microsoft 365-E-Mail-Adresse. Überprüfen Sie dann, ob es in Ihrem Microsoft 365 E-Mail-Posteingang ankommt.

Validieren Sie die E-Mail-Protokolle in der Nachrichtenverfolgung auf Ihrem Cisco Secure Email und Web Manager (auch SMA genannt), der mit Ihrer Instanz bereitgestellt wird.

So zeigen Sie E-Mail-Protokolle Ihres SMA an:

1. Melden Sie sich bei Ihrer SMA an (https://sma.iphmx.com/ng-login).
2. Klicken Sie auf  Tracking.
3. Geben Sie die erforderlichen Suchkriterien ein, und klicken Sie auf Search;, um die gewünschten Ergebnisse anzuzeigen.

So zeigen Sie E-Mail-Protokolle in Microsoft 365 an:

1. Melden Sie sich beim Microsoft 365 Admin Center an (https://admin.microsoft.com).
2. Erweitern Admin Centers.
3. Klicken Sie auf Exchange.
4. Navigieren Sie zu Mail flow > Message trace.
5. Microsoft stellt Standardkriterien für die Suche bereit. Wählen Sie beispielsweise aus Messages received by my primary domain in the last day, um Ihre Suchanfrage zu starten.
6. Geben Sie die erforderlichen Suchkriterien für Empfänger ein, klicken Sie auf Search und erwarten Sie Ergebnisse wie:

Konfigurieren von ausgehenden E-Mails aus Microsoft 365 für Cisco Secure Email

Konfigurieren von RELAYLIST auf Cisco Secure Email Gateway

Weitere Informationen erhalten Sie in Ihrem Begrüßungsschreiben zu Cisco Secure Email. Darüber hinaus wird eine sekundäre Schnittstelle für ausgehende Nachrichten über Ihr Gateway angegeben.

1. Melden Sie sich bei Ihrem Gateway an.
2. Navigieren Sie zu Mail Policies > HAT Overview.
   
   

   Hinweis: Stellen Sie sicher, dass der Listener für den ausgehenden Listener, für ausgehendeMail oder für MailFlow-Ext vorhanden ist, basierend auf dem tatsächlichen Namen des Listeners für den externen/ausgehenden E-Mail-Fluss.

3. Klicken Sie auf  Add Sender Group...
4. Konfigurieren Sie die Absendergruppe als:
   1. Name: RELAY_O365
   2. Comment (Kommentar):  <<enter a comment if you wish to notate your sender group>>
   3. Richtlinie: RELAYED
   4. Klicken Sie auf  Submit and Add Senders.
   5. Absender: .protection.outlook.com
      

      Hinweis: Die . (Punkt) am Anfang des Absender-Domänennamens erforderlich.

   6. Klicken Sie auf Submit.
   7. Klicken Sie rechts oben Commit Changes in der Benutzeroberfläche auf, um Ihre Konfigurationsänderungen zu speichern.

Ein Beispiel für das Aussehen Ihrer Absendergruppeneinstellungen:

Aktivieren von TLS

1. Klicken Sie auf <<Back to HAT Overview.
2. Klicken Sie auf folgende Mailflow-Richtlinie: RELAYED.
3. Blättern Sie nach unten, und suchen Sie im Security Features Abschnitt nach Encryption and Authentication.
4. Wählen Sie für TLS Folgendes aus: Preferred.
5. Klicken Sie auf Submit.
6. Klicken Sie rechts oben Commit Changes in der Benutzeroberfläche auf, um Ihre Konfigurationsänderungen zu speichern.

Ein Beispiel für die Konfiguration der Mail Flow Policy:

Konfigurieren von E-Mails von Microsoft 365 nach CES

1. Melden Sie sich beim Microsoft 365 Admin Center an (https://admin.microsoft.com).
2. Erweitern Admin Centers.
3. Klicken Sie auf Exchange.
4. Navigieren Sie zu Mail flow > Connectors.
5. Klicken Sie [+] hier, um einen neuen Steckverbinder zu erstellen.
6. Wählen Sie im Popup-Fenster "Mail-Fluss auswählen" Folgendes aus:
   1. Von: Office365
   2. Zu:Partner organization
7. Klicken Sie auf Next.
8. Geben Sie einen Namen für den neuen Connector ein: Outbound to Cisco CES.
9. Geben Sie bei Bedarf eine Beschreibung ein.
10. Klicken Sie auf Next.
11. Für Wann möchten Sie diesen Connector verwenden?:
    1. Auswahl: Only when I have a transport rule set up that redirects messages to this connector.
    2. Klicken Sie auf Next. 
12. Klicken Sie auf Route email through these smart hosts.
13. Klicken Sie auf, [+] und geben Sie die ausgehenden IP-Adressen oder Hostnamen ein, die in Ihrem CES-Begrüßungsschreiben angegeben sind.
14. Klicken Sie auf  Save.
15. Klicken Sie auf  Next.
16. Wie sollte Office 365 mit dem E-Mail-Server Ihrer Partnerorganisation verbunden werden?
    1. Auswahl: Always use TLS to secure the connection (recommended).
    2. WählenAny digital certificate, including self-signed certificates Sie.
    3. Klicken Sie auf Next.
17. Der Bestätigungsbildschirm wird angezeigt.
18. Klicken Sie auf  Next.
19. Geben Sie [+] eine gültige E-Mail-Adresse ein, und klicken Sie auf OK.
20. Klicken Sie auf, Validate und lassen Sie die Validierung laufen.
21. Klicken Sie abschließend auf Close.
22. Klicken Sie auf Save.

Ein Beispiel für den Outbound Connector:



Erstellen einer Mailflow-Regel

1. Melden Sie sich bei Ihrem Exchange Admin Center an (https://outlook.office365.com).
2. Klicken Sie auf mail flow; achten Sie auf die Registerkarte "Regeln".
3. Klicken Sie auf, [+] um eine neue Regel hinzuzufügen.
4. Auswählen Create a new rule.
5. Geben Sie einen Namen für die neue Regel ein: Outbound to Cisco CES.
6. Für *Diese Regel anwenden, wenn... wählen Sie: The sender is located...
   1. Wählen Sie im Popup-Fenster "Absenderstandort auswählen" Folgendes aus: Inside the organization.
   2. Klicken Sie auf OK.
7. Klicken Sie auf More options...
8. Klicken Sie auf die add condition Schaltfläche, und fügen Sie eine zweite Bedingung ein:
   1. Auswählen The recipient...
   2. Auswahl: Is external/internal.
   3. Wählen Sie im Popup-Fenster "Absenderstandort auswählen" Folgendes aus: Outside the organization .
   4. Klicken Sie auf OK.
9. Wählen Sie für * Folgendes aus: Redirect the message to...
   1. Wählen Sie den folgenden Steckverbinder aus.
   2. Wählen Sie den ausgehenden Anruf für den Cisco CES-Anschluss aus.
   3. Klicken Sie auf OK.
10. Kehren Sie zu "*Do the following..." zurück, und fügen Sie eine zweite Aktion ein:
    1. Auswahl: Modify the message properties...
    2. Auswahl: set the message header
    3. Legen Sie folgenden Nachrichten-Header fest: X-OUTBOUND-AUTH.
    4. Klicken Sie auf  OK.
    5. Legen Sie den Wert fest: mysecretkey.
    6. Klicken Sie auf OK.
11. Klicken Sie auf Save.

Hinweis: Um nicht autorisierte Nachrichten von Microsoft zu verhindern, kann ein geheimer x-Header gestempelt werden, wenn Nachrichten Ihre Microsoft 365-Domäne verlassen. Dieser Header wird ausgewertet und vor der Zustellung an das Internet entfernt.

Ein Beispiel für die Microsoft 365 Routing-Konfiguration:



Greifen Sie abschließend auf die CLI für Cisco Secure Email Gateway zu.

Hinweis: Cisco Secure Email Cloud Gateway > CLI-Zugriff (Command Line Interface).

Erstellen Sie einen Nachrichtenfilter, um das Vorhandensein und den Wert des X-Headers zu überprüfen, und entfernen Sie den Header, falls vorhanden. Wenn kein Header vorhanden ist, soll die Nachricht verworfen werden.

1. Melden Sie sich über die CLI bei Ihrem Gateway an.
2. Führen Sie den Filters Befehl aus.
3. Wenn Ihr Gateway geclustert ist, tippen Sie auf Return (Zurück), um die Filter im Clustermodus zu bearbeiten.
4. Verwenden Sie den New Befehl, um einen Nachrichtenfilter zu erstellen, zu kopieren und einzufügen:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Klicken Sie auf Return (Rücklauf), um eine neue, leere Zeile zu erstellen.
6. Geben Sie [.] in der neuen Zeile ein, um den neuen Nachrichtenfilter zu beenden.
7. Klicken Sie return einmal, um das Menü Filters (Filter) zu verlassen.
8. Führen Sie den Commit Befehl aus, um die Änderungen an der Konfiguration zu speichern.

     

Ausgehende E-Mails testen

Testen Sie ausgehende E-Mails von Ihrer Microsoft 365-E-Mail-Adresse an einen externen Domänenempfänger. Sie können die Nachrichtenverfolgung über Ihren Cisco Secure Email und Web Manager überprüfen, um sicherzustellen, dass der ausgehende Datenverkehr ordnungsgemäß weitergeleitet wird.

Hinweis: Überprüfen Sie Ihre TLS-Konfiguration (Systemverwaltung > SSL-Konfiguration) für das Gateway und die für ausgehendes SMTP verwendeten Chiffren. Cisco Best Practices empfiehlt Folgendes:



HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

       

Beispiel für die Nachverfolgung bei erfolgreicher Zustellung:

Klicken Sie hier, More Details um die vollständigen Nachrichtendetails anzuzeigen:

Beispiel für die Nachrichtenverfolgung, bei dem der x-Header nicht übereinstimmt:

Zugehörige Informationen 

Cisco Secure Email Gateway-Dokumentation

• Versionshinweise
• Benutzerhandbuch
• CLI-Referenzhandbuch
• API-Programmierhandbücher für Cisco Secure Email Gateway
• Open Source für Cisco Secure Email Gateway
• Installationsanleitung für die Cisco Content Security Virtual Appliance (einschließlich vESA)

Secure Email Cloud Gateway - Dokumentation

• Versionshinweise
• Benutzerhandbuch

Cisco Secure Email und Web Manager-Dokumentation

• Versionshinweise und Kompatibilitätsmatrix
• Benutzerhandbuch
• API-Programmierhandbücher für Cisco Secure Email und Web Manager
• Installationsanleitung für die Cisco Content Security Virtual Appliance (einschließlich vSMA)

Cisco Secure-Produktdokumentation

• Cisco Secure Portfolio Naming Architecture